Zwei Speicherfehler im Kern von PHP erlauben es einem Angreifer aus dem Internet, ohne Anmeldung Code auf dem Webserver auszuführen – teils bevor die eigentliche Anwendung überhaupt startet. Betroffen ist praktisch jede PHP-Installation, die Webanfragen bedient: WordPress, Drupal, Joomla, Magento, Shops und Eigenentwicklungen. Ein CMS-Update hilft nicht, nur ein neues PHP. Erste Ausnutzungsversuche gab es vier Tage vor dem Patch, am Patchtag waren bereits mehrere Angreifer aktiv.
Advisory als PDF herunterladen109618: Gerät PHP beim Einlesen einer Anfrage in einen Speicherengpass, bleiben halb initialisierte Daten zurück, die beim Aufräumen als gültig gelten. 109619: Zustand einer Anfrage überlebt die Freigabe seines Speichers (Use-after-free) und wird von der nächsten Anfrage am selben Worker genutzt. Folge: Code-Ausführung, bei 109619 auch Auslesen von Prozessspeicher.
| PHP-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 8.5 | < 8.5.12 | 8.5.12 |
| 8.4 | < 8.4.27 | 8.4.27 |
| 8.3 | < 8.3.36 | 8.3.36 |
| 8.2 (EoL 31.12.2026) | < 8.2.35 | 8.2.35 |
| 7.4 · 8.0 · 8.1 | alle (EoL) | Backport-Quellcode / LTS-Anbieter |
| 5.4 bis 7.3 | alle (EoL) | kein Fix – Upgrade |
Betroffen sind alle Installationen, die Webanfragen bedienen; höchstes Risiko laut PHP bei mod_php. Distributionen und LTS-Anbieter haben Pakete – Stand beim Anbieter bzw. Hoster prüfen, Appliances mit eingebautem PHP nicht vergessen.
Regulatorischer Hinweis: Ein bestätigter Zugriff auf eine Anwendung mit personenbezogenen Daten kann meldepflichtig sein – DSGVO i. d. R. 72 h, NIS-2 nach Ihren Fristen. Wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Inventar vor Patch, Patch vor Entwarnung, Prüfung ab dem 17. Oktober.
8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 bzw. das Distributionspaket mit Fix. Danach alle PHP-Worker neu starten. 7.4 bis 8.1: auf eine unterstützte Version wechseln oder LTS-Backport einspielen.memory_limit per php_admin_value festsetzen, Anfragegrößen und Multipart-Uploads am Webserver/WAF begrenzen, exponierte Altsysteme vom Netz nehmen.session.upload_progress.enabled = 0PHP_SESSION_UPLOAD_PROGRESSphp-fpm · httpd · php-cgi startetsh · bash · curl · wget · nc103.216.220.92 · 31.223.184.166
37.19.200.5 · 134.209.159.64
103.114.163.188 · 95.217.98.37Zur Einordnung: Die IPs gehören zu Anonymisierungsdiensten, die auch legitime Nutzer verwenden – Amazon empfiehlt, Treffer zu untersuchen statt pauschal zu blockieren. Upload-Fortschritt und HTTP-500-Fehler kommen auch im Normalbetrieb vor; auffällig ist die Häufung. Fehlende Logeinträge sind kein Beweis für Sicherheit: Manche Fehler treten auf, bevor PHP etwas protokolliert.
Wichtig: Die Lücke liegt im PHP-Interpreter, nicht in WordPress, Drupal oder Ihrer Anwendung – ein CMS- oder Plugin-Update schließt sie nicht. Und ein Patch entfernt keine Webshell, die schon vorher abgelegt wurde. Weil es Versuche bereits vor der Veröffentlichung gab, gilt der 17. Oktober als spätester Startpunkt jeder Prüfung.
PHP Security Advisory 21.10.2026 · GHSA-w8hw-w9fx-j79w, GHSA-6wmf-4rv5-p3rp (CVSS 4.0 9,2) · BSI-IT-Sicherheitshinweis BITS-H 2026-297981-1132 v1.1 (21.10.2026, Kritikalität 3/Orange) · Sophos Security Advisory sophos-sa-20261021-php2shell · Google Cloud „Responding to core PHP vulnerabilities“ (21.10.2026) · Amazon Threat Intelligence (MadPot) · OGO Security, Herstellerangabe zum virtuellen Patch (22.10.2026). Stand 22.10.2026: nicht im CISA-KEV-Katalog. Fixversionen gegen das Paket Ihrer Distribution abgleichen.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Webserver-Prozesse, die Shells oder Download-Werkzeuge starten, und Häufungen von Speicherfehlern. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.